Ordonnance sur la gestion et la sécurité de l’information (OGSI) (IVSV)

Cette ordonnance régit l'administration et la protection des informations des organes publics du canton et des communes.

B. Système de classification et dossiers

Le service public gère ses dossiers selon un système de classification permettant une attribution claire et une recherche ciblée des informations.

1 L'organe public classe dans un dossier toutes les informations nécessaires au traitement et à la traçabilité d'un cas.

2 Les informations qui sont classées séparément pour des raisons techniques, organisationnelles ou juridiques sont référencées dans le dossier.

1 L'organe public désigne, pour chaque cas commercial, un service chef de file.

2 Celui-ci est responsable de l'exhaustivité du dossier.

1. Dossiers sont pourvus d'informations nécessaires au traitement et à l'attribution d'un cas, ainsi qu'à la protection des informations y relatives (métadonnées).

1. 1. 20 - 107

1

170.8 O sur la gestion et la sécurité de l'information (OGSI)

Clôture du dossier

2 Ils contiennent en particulier les métadonnées suivantes

a. titre du cas,

b. date d'ouverture et de clôture,

c. service responsable.

1 Une fois le cas d'espèce clôturé, le service pilote vérifie l'exhaustivité du dossier et le ferme.

2 Il peut supprimer les informations qui ne sont pas nécessaires à la traçabilité du cas d'espèce.

Choix du support d'information

C. Support d'information

1 L'organe public détermine sous quelle forme il tient ses dossiers. Il tient les dossiers sous forme électronique, dans la mesure où cela est possible et économique. Pour le surplus, il tient les dossiers sous forme physique ou, pour des raisons particulières, sous forme mixte.

2 Il détermine en outre

a. pour les dossiers sous forme électronique: le traitement des informations physiques, notamment celles qui doivent être conservées en original pour préserver leur validité juridique ou à des fins de preuve,

b. pour les dossiers sous forme physique: le traitement des informations électroniques.

3 Si l'organe public ne tient pas ses dossiers exclusivement sous forme électronique, il rend compte chaque année des raisons à l'autorité supérieure ou à l'autorité de surveillance.

Moyens techniques

1 Lorsqu’un organe public introduit de nouveaux moyens techniques, notamment de nouveaux systèmes de gestion de l’information, il s’assure que les informations et métadonnées existantes peuvent continuer à être utilisées.

2 Il utilise des moyens techniques qui permettent le transfert des informations gérées dans des formats aptes à l’archivage.

Obligation de proposer des archives

D. Obligation de proposer des archives et archivage

1 L'organe public sélectionne les dossiers lorsqu'

a. leur délai de conservation est échu,

b. la tâche publique correspondante est devenue caduque.

2

O sur la gestion et la sécurité de l'information (OGSI) 170.8

2 Il propose les dossiers sélectionnés, ainsi que les métadonnées y

relatives, aux archives compétentes et livre les dossiers choisis par les

archives.

3 Il détruit ou efface de manière irréversible

a. les dossiers non repris par les archives,

b. les doubles des informations livrées aux archives.

4 L'organe public conserve les dossiers dignes d'archivage que les

archives ne peuvent pas reprendre immédiatement pour des raisons

de capacité.

Le service public

Autres devoirs

a. accorde aux Archives l'accès à ses informations, dans la mesure où cela est

nécessaire à l'accomplissement des tâches du service public,

b. consulte les Archives pour les projets de gestion électronique de l'information.

Das Archiv kann für die Anbietung und die Übernahme von Weisungsrecht

Informationen Weisungen erlassen.

Le service d'archives peut édicter des directives concernant l'offre et l'acquisition du droit d'instruction en matière d'informations.

E. Informationssicherheit

E. Sécurité de l'information

1 La cellule directrice évalue les risques et les besoins de protection pour les informations qu'elle gère. Elle les classe dans l'un des niveaux de protection définis par le Conseil d'État.

2 Sur cette base, l'organe public définit, dans un plan, les mesures appropriées pour protéger les informations. Il indique à cet égard l'effet, les coûts et les délais.

Pour atteindre les objectifs de protection selon l’art. 7 al. 2 LDP,

l’organisme public examine notamment les mesures suivantes

a. pour l’objectif de protection de la confidentialité: la définition et

l’attribution d’autorisations restrictives, le chiffrement ainsi que

l’anonymisation lors de la transmission,

b. pour l’objectif de protection de l’intégrité: l’utilisation de supports

d’information inaltérables et leur conservation sécurisée,

c. pour l’objectif de protection de la disponibilité: la mise en place

de redondances ainsi que la mise en œuvre de mesures de préven-

tion pour les cas d’urgence et les situations de crise,

d. pour l’objectif de protection de la traçabilité: l’utilisation de certifi-

cats et de signatures numériques,

1. 20-1 . 1. 20 - 107

3

170.8 O sur la gestion et la sécurité de l’information (OGSI)

e. pour l’objectif de protection de la réversibilité: la journalisation et

la surveillance des accès et des modifications,

f. pour tous les objectifs de protection: les contrôles de sécurité du

personnel ainsi que la sensibilisation des collaborateurs à la mani-

pulation sécurisée des informations.

Vérification

Traitement des

informations

par des tiers

F. Assurance qualité

1. L'organe public assure le respect de la présente ordonnance

par ses unités administratives.

2. Il vérifie régulièrement le respect de l'ordonnance et l'oppor-

tunité des mesures prises pour la protection des informations. Si les

objectifs de protection selon l'art. 7, al. 2 LDI ne sont plus atteints,

il adapte les mesures.

3. Il documente les résultats de la vérification et l'adaptation

des mesures.

traitement, il veille au respect des prescriptions de la présente ordonnance.

4

1 RO 74, 558 ; motifs : voir FF 2019-09-13.

2 Entrée en vigueur : 1er janvier 2020.

3 RS 170.4.